首屏摘要：两类证据，两条闸门
会话审计回答：哪个公钥/账号、从哪个源 IP、在何时尝试或建立 SFTP；是否出现高频失败、是否像暴力尝试。它依赖 sshd / sftp-server 在操作系统日志子系统中的事件。macOS 上这通常不是「一个明文 /var/log/auth.log 文件走天下」，而是 Unified Logging 的查询与（可选）外发管道。
字节校验回答：到达发布目录的文件是否与 CI 产出一致。见《传输完整性》的 SHA256 清单与闸门。没有会话日志，你仍可能知道「文件哈希对」；没有哈希，你仍可能知道「谁连上来过」——但合规与事故复盘往往两条都要。
本文不替代法务对留存周期的认定；给出工程上可执行的采集骨架、变更窗口与矩阵，让你能把工单写给安全与 SRE。
痛点拆解：找不到日志、级别过猛、与并发断连混淆
痛点 1：在 Finder 里翻不到「SFTP 专用日志」。应转向 log show / 受控 log stream，并对 sshd 进程与消息模式建立固定 predicate 模板（随 macOS 小版本可能需微调）。
痛点 2：盲目给 sftp-server 加 DEBUG。社区里常见「一改 Subsystem 行服务异常」的报告；必须在预发/维护窗验证，并准备注释回滚。
痛点 3：把 keepalive 断连当成入侵。先对照《并发 SFTP》与中间盒空闲策略，再开安全工单。
痛点 4：多租户目录无边界导致审计无效。先落地Chroot 与仅 SFTP 账号，日志里的用户与路径才有业务意义。
痛点 5：CI 侧密钥轮换无记录。把 OIDC/短期凭据与上传账号映射写进变更单，参见《CI 凭据》。
决策矩阵：采集深度 × 留存位置 × 运维成本
| 需求 | 做法 | 优点 | 风险 |
|---|---|---|---|
| 偶发排障 | 手工 log show 窗口查询 | 改动最小 | 无系统留存 |
| 内审要「能交差」 | LaunchDaemon 落盘 + 轮转 | 可附工单 | 磁盘与隐私字段脱敏 |
| 集中 SOC | 外发 syslog/代理 | 关联多源 | 网络与安全审查 |
| 不想自建整栈 | 托管远程 Mac 统一策略 | 入口收敛 | 供应商评估 |
矩阵核心：先定义要证明什么，再选工具链深度。
实操步骤：统一日志查询骨架（How-to）
# 1) 近 1 小时 sshd 相关（示例 predicate，需按系统版本调整）
log show --last 1h --style compact --predicate 'processImagePath CONTAINS "sshd"'
# 2) 失败登录常与认证消息相关，可叠加 eventMessage 过滤（自行细化关键字）
# log show ... --predicate 'processImagePath CONTAINS "sshd" AND eventMessage CONTAINS "Failed"'
# 3) 长期留存勿手工复制；用受控 daemon 或 SIEM 代理，并配置脱敏
# 4) 变更 sshd_config 中 Subsystem sftp 行前：备份、维护窗、准备回滚注释
# 5) 并联：在 CI 生成 SHA256 清单，上传后在远端校验（见《传输完整性》）
# 6) 记录：查询时间窗、使用的 predicate、样本行哈希（可选）以便复核
命令为教学骨架；生产须由有权限角色执行，并遵守公司与苹果支持边界。
字段与留存基线：工单里建议写清什么
建议固定收集：源 IP、目标主机名、账号/Principal、认证方式摘要、时间戳时区、会话结果（成功/失败原因枚举）、是否与某次发布 build_id 关联。留存周期与 GDPR/本地法规对齐，由法务终审；工程提供技术可行性与采样率。
对远程 Mac 7×24 入口，磁盘与日志轮转要和并发上传同一优先级，否则「能连但无处查」会在事故夜复发。
若团队同时跑 交互式 SFTP 与 CI 无人任务，建议在日志侧用账号或密钥注释字段区分来源，避免把人工调试会话与流水线误归为同一「攻击面」统计。
FAQ 与为何考虑托管远程 Mac
统一日志能实时告警吗？
可以对接流式采集与规则，但需单独设计；本文聚焦分层决策与手工可复现基线。
和 VPN/跳板审计谁优先？
分层保存：入口跳板一层、远程 Mac sshd 一层，串联才能还原路径。
日志里会有文件内容吗？
通常不会；内容级证据靠业务侧哈希与发布闸门。
总结：远程 Mac SFTP 交付要把会话审计与字节校验分开设计、再并联；统一日志是 macOS 侧关键抓手。
局限：自建时要同时维护 sshd、日志、磁盘与合规；SFTPMAC 托管远程 Mac把加密入口、隔离与运维经验打包，减少「事故夜现学 log predicate」的成本。
了解套餐与节点，统一远程 Mac 的传输入口与交付策略。